在存储过程中将字符串作为纯文本插入 SQL 查询

Question

我正在尝试在 SQL 服务器中编写一个存储过程，以检查列中是否存在搜索输入。

SELECT * 
FROM Product 
WHERE @Type LIKE @SearchResult

我的问题是，当我从用户的输入中获取@Type时，它以字符串形式出现在 SQL 因此语法错误并返回NULL 。

有没有办法摆脱单引号或将其转换为 SQL 中的纯文本？

因此，如果@Type是“ProductName”，它将在 SQL 中显示为

SELECT * 
FROM Product 
WHERE ProductName LIKE @SearchResult (no single quotes around `ProductName`)

Answer 1

您必须使用动态 SQL 来替换查询中的常量以外的任何内容：

DECLARE @sql NVARCHAR(MAX);

SET @SQL = 'SELECT * FROM Product WHERE  @Type LIKE @SearchResult';

SET @SQL = REPLACE(@SQL, '@Type', @Type);

exec sp_executesql @sql,
                   N'@SearchResult NVARCHAR(MAX)',
                   @SearchResult=@SearchResult;

您仍然可以使用参数传递@SearchResult值。